La fiche 9 du guide CNIL pour les SPST traite de la certification du service et des preuves de conformité qu’il doit réunir. Une partie de ces preuves dépend de ses sous-traitants : l’article 28 du RGPD impose au service de ne recourir qu’à des prestataires qui présentent des garanties suffisantes.
Le 8 octobre 2026, la CNIL a présenté un projet de certification européenne destinée aux sous-traitants, au titre de l’article 42 du RGPD. Le projet est soumis au Comité européen de la protection des données.
Ce qui change
L’article 42 du RGPD permet la création de mécanismes de certification destinés à démontrer la conformité des traitements. L’article 28.5 précise que l’application, par un sous-traitant, d’un mécanisme de certification approuvé peut servir d’élément pour démontrer les garanties suffisantes qu’il présente.
Le projet présenté par la CNIL vise les sous-traitants. S’il est approuvé par le CEPD, il aura une portée européenne. Il n’est pas encore en vigueur et son contenu définitif reste à connaître.
Le même mois, la CNIL et ses homologues luxembourgeois et britannique ont publié le 16 octobre une étude qui présente la conformité comme un actif valorisable dans les opérations de rapprochement entre organismes. Pour les services engagés dans une fusion, l’état de conformité des sous-traitants de chacun fait partie de cette évaluation.
Ce que cela implique pour un SPST
La CNIL a par ailleurs habilité 135 agents aux missions de vérification (délibération HAB-2026-002, publiée au Journal officiel du 1er octobre). Les contrôles porteront, entre autres, sur la manière dont les responsables de traitement choisissent et suivent leurs prestataires.
Aujourd’hui, un service évalue ses prestataires au cas par cas : annexe RGPD, certificats HDS et ISO 27001 lorsqu’ils existent, questionnaire, échanges entre délégués. Ce travail est long et rarement homogène d’un prestataire à l’autre.
- Une certification européenne approuvée offrirait un repère commun. Elle réduirait la part déclarative de l’évaluation ; le service resterait tenu de vérifier l’adéquation du prestataire à ses propres traitements.
- Le service peut dès maintenant prévoir, dans ses critères de sélection, la prise en compte d’une certification au titre de l’article 42 lorsqu’elle existera.
- Les appels d’offres et consultations en cours peuvent mentionner ce critère comme élément d’appréciation, sans l’exiger.
- Pour les services en cours de fusion, l’inventaire des sous-traitants de chaque entité, avec leurs garanties documentées, facilitera l’harmonisation des contrats.
Le projet doit être suivi jusqu’à son approbation par le CEPD, date à partir de laquelle son contenu définitif sera connu. D’ici là, le service gagne à harmoniser ses propres questionnaires d’évaluation, pour pouvoir comparer ensuite ses prestataires certifiés et ceux qui ne le sont pas.
Comment le traiter dans DPO SUITE
Ouvrez le registre des sous-traitants et vérifiez, pour chaque fiche, les garanties déjà documentées : certificats, annexe RGPD signée, résultat du dernier audit par questionnaire. Ajoutez dans le questionnaire d’audit une question sur l’intention du prestataire de se faire certifier au titre de l’article 42 du RGPD.
Dans le module des procédures, mettez à jour la procédure de sélection des sous-traitants pour y inscrire la certification européenne comme critère d’appréciation futur. Faites approuver la nouvelle version par la direction et les achats. Créez une tâche de suivi du projet de certification jusqu’à son approbation par le CEPD.
Pour un service en cours de fusion, utilisez les groupes mutualisés pour rapprocher les registres des sous-traitants des entités concernées et repérer les prestataires communs.
Tester la création de votre registre dans DPO SUITE.
Repères
- Articles 28 et 42 du RGPD, texte sur cnil.fr
- Projet de certification européenne des sous-traitants présenté par la CNIL le 8 octobre 2026
- Étude de la CNIL et de ses homologues luxembourgeois et britannique du 16 octobre 2026 sur la conformité dans les opérations de rapprochement
- AFNOR SPEC 2217, édition d’août 2023
- Guide CNIL SPST, fiche 9
